فایروال ها و چند وظیفه اصلی اشان (قسمت دوم)

در ادامه مقاله قبلی در مورد وظایف اصلی فایروال ها (قسمت اول)، دو وظیفه دیگر و مهم این دستگاه های ارزشمند را به اختصار شرح میدهیم:

ناحیه غیرنطامی ( Demilitarized Zone )
نواحی غیرنظامی ( DMZ ) ، یکی دیگر از ویژگی های ارائه شده توسط اکثر فایروال ها می باشد . DMZ ، ناحیه ای است که تحت قلمرو حفاظتی فایروال قرار نمی گیرد . فایروال های مختلف ، نواحی DMZ را با روش های متفاوتی پیاده سازی می نمایند . مثلا” برخی از فایروال ها ، صرفا” شما را ملزم به معرفی آدرس IP ماشینی می نمایند که قصد استقرار آن در ناحیهDMZ  وجود دارد .برخی از فایروال ها دارای یک پورت شبکه ای اختصاصی می باشند که می توان از آن برای هر نوع دستگاه شبکه ای که قصد استقرار آن در ناحیه DMZ وجود دارد ، استفاده گردد.
پیشنهاد می گردد ، حتی المقدور از نواحی DMZ استفاده نگردد ، چراکه ماشین های موجود در این نواحی از امکانات حفاظتی و امنیتی فایروال استفاده نخواهند کرد و تنها گزینه موجود در این رابطه امکانات ارائه شده توسط سیستم عامل نصب شده بر روی ماشین و سایر توصیه هائی است که با رعایت و بکارگیری آنان ،   وضعیت امنیتی سیستم بهتر می گردد.
در صورتی که برای ایجاد یک ناحیه DMZ دلایل موجه و قانع کننده ای وجود دارد ، می بایست با دقت و برنامه ریزی صحیح توام با رعایت مسائل امنیتی اقدام به انجام چنین کاری گردد. در صورتی که ماشین مستقر در ناحیه DMZ دارای یک اتصال به شبکه داخلی نیز باشد ، مهاجمان با تمرکز بر روی ماشین فوق می توانند نقطه مناسبی برای ورود به شبکه را پیدا نمایند . پیشنهاد می گردد به عنوان یک قانون و اصل مهم ، ماشین های موجود در ناحیه DMZ دارای اتصالاتی به غیر از پورت DMZفایروال نباشند.

فورواردینگ پورت ها
در بخش قبل به نحوه عملکرد فیلترینگ پورت ها به منظور بلاک نمودن استفاده از یک پروتکل بجزء یک آدرس IP خاص، اشاره گردید . فورواردینگ پورت نیز بر اساس همین مفاهیم مطرح و در سازمان هائی که در ارتباط با NAT می باشند ، کارساز خواهد بود.

برای آشنائی با مفهوم فورواردینگ پورت ها ، یک مثال نمونه را بررسی می نمائیم:

فرض کنید ، سازمانی دارای یک سرویس دهنده وب است که از آدرس IP: 192.168.0.12 ( یک آدرس معتبر نمی باشد ولی فرض کنید که چنین واقعیتی وجود ندارد ) استفاده می نماید و می بایست امکان دستیابی عمومی به آن فراهم گردد . در صورتی که سرویس دهنده وب فوق تنها سرویس دهنده موجود در سازمان است که می بایست امکان دستیابی عمومی به آن فراهم گردد ، می بایست  یک قانون فیلترینگ بسته های اطلاعاتی در سطح  فایروال تعریف گردد که تمامی درخواست های HTTP بر روی پورت ۸۰ و به مقصد هر آدرس موجود در شبکه بجزء آدرس IP:192.168.0.12 ، بلاک گردد  . پس از تعریف قانون فوق ، در صورتی که کاربری یک درخواست HTTP را برای آدرس های دیگری ارسال نماید ، با پیامی مبنی بر این که  وب سایت درخواستی وجود ندارد ، مواجه خواهد شد .

در مثال فوق ، این فرض نادرست را کردیم که امکان دستیابی عمومی به آدرس IP:192.168.0.12 وجود دارد . آدرس فوق صرفا” بر روی یک شبکه خصوصی معتبر بوده و امکان دستیابی آن از طریق اینترنت وجود  نخواهد داشت . بدیهی است در چنین وضعیتی می بایست آدرس سرویس دهنده وب خصوصی خود را با یک آدرس عمومی جایگزین نمائید . ( با این که یک گزینه مطلوب در این رابطه نمی باشد ) . برخی از مراکز ارائه دهنده خدمات اینترنت ( ISP ) ، صرفا” امکان استفاده از یک آدرس IP عمومی را در اختیار شما قرار داده و بدیهی است که در چنین مواردی ما دارای گزینه های متعددی برای اختصاص این آدرس نخواهیم بود و می بایست آن را به فایروال اختصاص داد .

یکی از موارد استفاده سنتی از NAT  به مواردی نظیر آنچه اشاره گردید ، بر می گردد . سازمان فرضی دارای صرفا” یک آدرسIP معتبر است و آن را به فایروال نسبت داده و از NAT به منظور تسهیل در مبادله اطلاعات بین ماشین های موجود در شبکه داخلی و اینترنت استفاده می نماید . در چنین مواردی یک مشکل همچنان باقی می ماند . NAT به منظور بلاک نمودن ترافیک تمامی ارتباطات ورودی بجزء آنانی که درخواست آنان از طرف یکی از ماشین های موجود در شبکه داخلی ارسال شده است ، طراحی شده است و ما همچنان دارای یک سرویس دهنده وب می باشیم که می خواهیم امکان دستیابی عمومی به آن را نیز فراهم نمائیم .

به منظور حل مشکل فوق می توان از فورواردینگ پورت استفاده نمود . در واقع فورواردینگ پورت ، قانونی است که به فایروال می گوید در صورتی که درخواست های خاصی بر روی یک پورت خاص برای وی ارسال شده باشد ، می بایست درخواست مربوطه را برای یک ماشین طراحی شده بدین منظور بر روی شبکه داخلی، ارجاع نماید . در مثال اشاره شده ، ما قصد داریم امکان دستیابی عمومی به سرویس دهنده وب را فراهم نمائیم . بدین منظور می بایست یک قانون فورواردینگ پورت بدین منظور تعریف که به فایروال اعلام نماید هر درخواست HTTP بر روی پروتکل TCP و پورت ۸۰ را به آدرس IP:192.168.0.12 تغییر مسیر داده و برای آن ارسال نماید. پس از تعریف قانون فوق ، شخصی که قصد دستیابی به وب سایت سازمان شما را داشته باشد ، پس از فعال نمودن برنامه مرورگر ، اقدام به  درج آدرس سایت سازمان شما دربخش مربوطه می نماید. مرورگر کاربر مورد نظر به منظور آگاهی از آدرس domain سایت سازمان شما ، اقدام به ارسال یک درخواست DNS می نماید تا از این طریق نسبت به آدرس IP نسبت داده شده به domain آگاهی لازم را پیدا نماید . بدیهی است آدرسی که پیدا خواهد شد و به عنوان مرجع در اختیار مرورگر قرار خواهد گرفت، همان آدرس IPعمومی است که شما آن را به فایروال نسبت داده اید . مرورگر در ادامه ، درخواست HTTP را برای آدرس IP عمومی شما ارسال می نماید که در حقیقت این درخواست برای فایروال ارسال می گردد . فایروال درخواست را دریافت و آن را برای سرویس دهنده وب ارسال می نماید ( فورواردینگ ).